アーカイブ

WebminにおけるOSコマンドインジェクションの脆弱性

2007年10月3日　|　注意喚起

SNS Advisory No.95

Problem first discovered on： Sun, 10 Jun 2007
Published on： Wed, 03 Oct 2007

脅威度

高

バージョン1.360以前のWebminには、Windows環境で動作させた場合にOSコマンドインジェクションが可能である脆弱性が存在しています。

WebminはWebベースのシステム管理ツールであり、UNIXやMacOS X、Windowsで動作します。

Webminを動作させるWebサーバプログラムであるminiserv.plには、open文を使ってCGIを起動する時の引数の取り扱いに問題があります。

このため、特別に形作られたURLへアクセスすることで、CGIを起動する際に、URL中に指定された任意のOSコマンドを実行させることが可能です。（OSコマンドインジェクション）

この脆弱性を利用して、下記のような攻撃が行われる恐れがあります：
権限の低いWebminユーザが管理者権限へ昇格すること
正規のWebminユーザを悪意あるURLへ誘導することで、Webminサーバ上で任意のOSコマンドを実行させること

Webmin（on Windows） Version 1.360、およびそれ以前

Webmin バージョン 1.370以降へアップデートすることでこの問題を解消することができます。
これは以下のURLより入手可能です。

http://www.webmin.com/

山崎圭吾（ラック）

謝辞：
本問題は、情報処理推進機構（IPA）、およびJPCERT/CCによる『情報システム等の脆弱性関連情報の届出制度』に従い届出を行いました。

http://jvn.jp/jp/JVN%2361208749/index.html

http://www.ipa.go.jp/security/vuln/documents/2007/JVN_61208749.html

http://www.ipa.go.jp/security/vuln/200710_Webmin.html